Foto alla festa aziendale: cosa chiede davvero la privacy
Le foto della cena di Natale sono dati personali, e proprio per questo conviene sapere su quale base poggiano. Qui trovi quale base giuridica regge in quale caso, quando serve l'atto di nomina a responsabile del trattamento e quali domande pongono di solito le rappresentanze sindacali. Il riferimento è il GDPR (Regolamento UE 2016/679), valido in tutta l'Unione europea.
Queste informazioni non sono consulenza legale. Le norme sono citate con i loro riferimenti e i dati sul nostro sistema sono verificati; la valutazione del tuo caso concreto spetta al tuo DPO (RPD) o a un avvocato.
Le quattro domande che vengono davvero poste
Dove si trovano i dati?
È di solito la prima domanda, e con i servizi statunitensi è quella su cui ci si ferma. Da noi: database a Francoforte (Google Cloud, europe-west3), archivio delle foto su Cloudflare R2 con localizzazione nell'UE. I bucket sono privati e le immagini si aprono solo tramite un accesso verificato per ogni evento.
Serve un atto di nomina a responsabile (DPA)?
Sì. Se un'azienda fa trattare le foto dei suoi dipendenti da un servizio esterno, si tratta di trattamento per conto del titolare ai sensi dell'art. 28 GDPR: il contratto o atto di nomina a responsabile del trattamento è obbligatorio. Da noi lo generi tu stesso come PDF per i tuoi archivi, nella dashboard dell'evento, non appena l'evento è prenotato con un pacchetto a pagamento. Lo stesso contratto serve per qualsiasi servizio che un'azienda impiega allo scopo.
Consenso o legittimo interesse?
Nel rapporto di lavoro il consenso (art. 6, par. 1, lett. a GDPR) richiede cura, perché deve essere libero (art. 7 GDPR, considerando 43): nei confronti del datore di lavoro la libertà della scelta va spiegata con attenzione. Di solito è più pratico così: partecipazione volontaria, revoca possibile in ogni momento, e piena parità per chi sceglie di non partecipare. Il prodotto è costruito proprio così: per partecipare basta il browser, senza installare nulla né creare un account.
Cosa vuole sapere la rappresentanza sindacale?
Se lo strumento rende possibile un controllo a distanza dell'attività dei lavoratori: è il punto in cui, in Italia, entra in gioco l'art. 4 dello Statuto dei lavoratori (L. 300/1970, nel testo vigente dopo il D.Lgs. 151/2015). In quel caso servono di regola un accordo collettivo con le RSU/RSA oppure l'autorizzazione dell'Ispettorato nazionale del lavoro. Aiuta una risposta con i fatti: l'album ordina le foto per orario di caricamento e basta, e il sistema non fa riconoscimento facciale né abbina le foto a matricole. Un album resta un album, non uno strumento di controllo.
Cosa fare in concreto
Cinque passi per impostare bene l'album di una festa aziendale: poco tempo, nessun progetto da gestire.
Genera l'atto di nomina prima di invitare gli ospiti
Il trattamento parte dalla prima foto, perciò il contratto va all'inizio: prenota l'evento, genera il DPA nella dashboard, poi invita gli ospiti. Così tutto è in regola fin dalla prima immagine.
Mantieni la partecipazione chiaramente volontaria
Il QR code è a disposizione di chi vuole usarlo, e chi sceglie di non scattare resta alla pari di tutti gli altri: è il cuore della volontarietà.
Informa prima, non solo alla festa
Basta un breve messaggio nell'invito: ci sarà un album condiviso, la partecipazione è volontaria, le immagini vengono eliminate dopo X settimane, qui trovi l'informativa privacy (art. 13 GDPR).
Fissa un termine di conservazione e rispettalo
L'art. 5, par. 1, lett. e) GDPR chiede una conservazione commisurata allo scopo. Per una festa bastano poche settimane o mesi, con un termine definito. Da noi ogni evento ha una data di scadenza.
Rendi semplice l'opposizione
Chi vuole la propria immagine fuori dall'album deve poterla far rimuovere con una semplice richiesta, senza doverla motivare. L'organizzatore può eliminare ogni singola foto.
Cosa fa concretamente il nostro sistema
- Dove sono le foto?
- Su Cloudflare R2 con localizzazione nell'UE. Il bucket è privato; la consegna delle immagini passa da un accesso verificato per ogni evento.
- Dove si trova il database?
- Su Google Cloud Firestore in europe-west3, cioè a Francoforte sul Meno.
- Gli invitati devono creare un account?
- Basta inquadrare il QR code. Di chi partecipa non servono né account, né indirizzi e-mail, né numeri di telefono: snaplounge non li raccoglie.
- C'è il riconoscimento facciale?
- No. Non c'è alcun trattamento biometrico, né per ordinare né per cercare le foto. È la differenza che conta nel contesto lavorativo.
- Cosa succede dopo l'evento?
- Ogni evento ha una data di scadenza stabilita alla creazione. Poi le immagini vengono eliminate; prima, l'organizzatore può rimuovere in qualsiasi momento singole foto o l'intero album.
Domande frequenti
Un album per la vostra festa aziendale
Crealo gratis e guardalo prima di decidere. L'atto di nomina a responsabile del trattamento lo generi dopo la prenotazione, direttamente nella dashboard dell'evento.
Crea l'evento